健康で豊かな国民生活を保健医療福祉情報システムが支えます

セキュリティ委員会活動報告

2024年2月13日
一般社団法人保健医療福祉情報システム工業会
医療システム部会セキュリティ委員会
委員長 茗原秀幸ⓒ JAHIS 202４

サイバーセキュリティに対するセキュリティ委員会の対応
セキュリティ関連のJAHIS標準類を多数発行保存が義務付けられた診療録等の電子保存ガイドライン：電子保存・外部保存システムにおけるベンダーの技術的対策を規定（安全管理GL6版の内容を反映した改定作業を実施中）
ヘルスケア分野における監査証跡のメッセージ標準規約：医療情報システムにおける監査証跡としてのメッセージを規定
製造業者/サービス事業者による医療情報セキュリティ開示書ガイド：安全管理GL対応状況を自ら説明するための開示書を規定（安全管理GL6版対応に向け改定作業を実施中）
リモートサービスセキュリティガイドライン：リモート保守などのサービスを実施する際のサービサーとして考慮すべき事項を規定（ISO27001:2018、ISO27002:2018対応の改定作業を実施中）
HPKI対応ICカードガイドライン：HPKI証明書をICカードに格納した場合のHPKIへのアクセスメソッドを規定（リファランスの最新化や表現の正確性を確保する改定作業を実施中）
ヘルスケアPKIを利用した医療文書に対する電子署名規格：HPKIを利用して否認防止のための電子署名の手続きを規定（JAdESフォーマット対応を追加した改定作業を実施中）
HPKI電子認証ガイドライン：HPKIを利用して本人確認などの認証を行う際の考慮すべき事項を規定
シングルサインオンにおけるセキュリティガイドライン：シングルサインオンの要求事項とリスクアセスメントの考え方を記載（FHIRの実装例の追加の検討を実施中）
セキュアトークン実装ガイド・機器認証編：医療機関内おける無線接続機器の機器認証のための考慮事項を記載（リファランスの最新化や最新の技術動向を踏まえた改定を実施）
セキュアトークン実装ガイド・ノード認証編：医療機関内、施設間などにおけるノード認証のための考慮事項を記載（リファランスの最新化や最新の技術動向を踏まえた改定を実施）ⓒ JAHIS 202４2サイバーセキュリティに対するセキュリティ委員会の対応
近年は医療機関に対するランサムウェアによる重篤な被害が発生し、マスコミでも大きく報道されている。セキュリティ委員会では関係機関等と協力し各種啓発活動を実施している。

会員向け啓発活動や支援活動
リモートサービスセキュリティガイドライン対応「ISMS準拠リスクアセスメントテンプレート」の公開し、サンプルシステム（MDSの解説に用いるものと同一のモデル）を用いたリモート保守サービスに関するサンプルSLA、サンプルSDSを発行
MDS・SDS書き方セミナーの開催による会員への啓発
毎年6月に開催するセキュリティ標準化セミナーにてセキュリティ関連JAHIS標準類の啓発活動を実施
毎年3回開催の新人教育セミナーのセキュリティ教材にバックアップの考え方を詳述

関係各所への協力や支援活動
医療セプターオブザーバーとして重要インフラレターなどのチェックや重要な脆弱性に関する会員への啓発活動の実施
審査支払基金に対する電子処方箋、電子カルテ共有サービス等のセキュリティリスクアセスメント支援
消防庁に対する患者情報閲覧サービスのセキュリティリスクアセスメント支援
国などの各種有識者会議への参画と意見具申ⓒ JAHIS 202４3

セキュリティ委員会のJAHIS標準類策定における考え方と対応例
レギュレーションにおいては、厚生労働省の安全管理GLを遵守することを念頭に置
き、安全管理GLと整合性を取った規約、ガイドラインを制定する

スタンダードにおいては、ISOとの整合性を確保するため、JAHIS標準類のISOへの提案や、ISO規格のJAHIS標準類への取り込みを実施する工業会組織であるため、視点はあくまでベンダーの視点であり、医療サービ
サーや情報システムサービサーの視点ではない。

近年の課題
JAHIS会員が情報システムサービサーとなる事例が多く、クラウドに関する安全管理GLへの準拠性を示す開示書の策定要望やリモート保守における適正な対応が求められている。

課題を受けた対応

課題を受けた対応

JAHIS標準「製造業者/サービス事業者による医療情報セキュリティ開示書ガイド」のチェックリストの安全管理GL第6版対応を実施し、並行してJAHIS標準の改定作業を実施

JAHIS標準「リモートサービスセキュリティガイドライン」に基づくサンプルSLA、SDSを策定。また国からの要望に応じて様々なリモートサービスのリスクアセスメントに活用ⓒ JAHIS 202４

4

「製造業者/サービス事業者による医療情報セキュリティ開示書」ガイド
MDS作成支援のため、一般的な構成と考えられるサンプルシステムを構成し、それに対応したサンプルMDSを作成している。JAHISのWebページに公開するとともに啓発セミナー等でサンプルの解説を行い、会員各社の自社製品のMDS作成作業が円滑に行えるよう支援している。

サンプルMDSにおける想定システム（電⼦カルテ）の構成例
保守サイト

サンプルチェックシートの想定システム︓電⼦カルテ

保守⽤
クライアント・NTPサービス
・リモートアクセス・セキュリティパッチ

病院内設備

IP-VPN

中・⼤規模病院を想定

保守専⽤LAN

バックアップ
ディスク

リモート保守専⽤
クライアント

電⼦カルテ
データベースＲＡＩＤシステムやミラーシステム【対象外】
クライアントPC本体
およびそのOS

電⼦カルテサーバ
クラスタシステム
院内LAN

クライアント クライアント クライアント クライアント
スキャナⓒ JAHIS 202４

診察室病棟事務課

5

リモートサービスセキュリティガイドライン
本ガイドラインでは、医療機関内の情報機器・システムを遠隔保守するケースのモデル化を行い、そのモデルに対して ISMS（Information Security Management System）の手法に従ったリスクマネジメントの実施例を示す。それにより、医療機関の管理者、および遠隔保守を行うベンダが、実施例を参考にリスクアセスメントを実施することにより、情報資産を安全かつ効率的に保護することができるようになることを期待している。
策定にあたっては、JIPDEC（一般財団法人日本情報経済社会推進協会）と連携し、JAHIS標準改定作業の際にはISMSの最新動向・規格の内容の確認などで連携を実施。
ポイント：・標準的なリモート保守モデルを定義（予防保守、ソフトウェア改定、故障対応、監視）・JISQ27001：2014ならびにJISQ27002：2014に対応したリスクアセスメントを実施（現在JISQ27001：2023ならびにJISQ27002：2023対応に向けた改定を実施中）
・汎用的なリモートサービスのリスクアセスメントに利用可能なテンプレートを作成
利活用例：
・医療情報システムベンダー各社のリモート保守のリスクアセスメントに活用
・オンライン資格確認のリスクアセスメントのベースに本ガイドラインを活用
・電子処方箋のリスクアセスメントのベースに本ガイドラインを活用
・電子カルテ共有サービスのリスクアセスメントのベースに本ガイドラインを活用
・消防庁の救急隊の患者情報閲覧サービスのリスクアセスメントのベースに本ガイドラインを活用
・ISO/TS11633-1：2019、ISO/TR11633-2:2021として2分冊されてISO規格化ⓒ JAHIS 202４

6

サンプルモデルに対応したSLA例とSDS例の作成
リモート保守サービスの適正化に向けたリモート保守サービサ支援活動として、標準的なサービスモデルに基づくSLA例ならびに当該SLAに基づくSDS例を作成し、各社のリモート保守サービス設計を支援する活動を行っている。
（ SLA: Service Level Agreement SDS: Servicer Disclosure Statement ）保守サイト

サンプルチェックシートの想定システム︓電⼦カルテ

保守⽤
クライアント・NTPサービス
・リモートアクセス・セキュリティパッチ

病院内設備

IP-VPN

中・⼤規模病院を想定

保守専⽤LAN

バックアップ
ディスク

リモート保守専⽤
クライアント

電⼦カルテ
データベースＲＡＩＤシステムやミラーシステム【対象外】
クライアントPC本体
およびそのOS

電⼦カルテサーバ
クラスタシステム
院内LAN

クライアント クライアント クライアント クライアント
スキャナⓒ JAHIS 202４

診察室

病棟

リモート保守のサン
プルモデルではMDSで用いられた電子カルテシステ
ムに対するリモート保守を行うサービスを前提にSLAとSDSが作成されており、MDSと整合を取ることで会員各社の理解を促進するようにしている。

事務課

7

リモート保守サンプルモデルに対応したSLA
リモート保守サービスのサンプルSLA作成に当たっては業界において比較的一般的と考えられるサービス条件を設定し、その条件を踏まえたうえで、総務省・経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」別紙１のSLA参考例をベースとして作成している。

SLA参考例の項目と考え方、SLA参考例の具体的記載内容、リモート保守のSLAサンプルを並べて記載。必要に応じて解説の追記を実施し、会員各社のサービスにカスタマイズしやすいように配慮している。
ⓒ JAHIS 202４8

リモート保守サンプルモデルに対応したSDS
リモート保守サービスのサンプルSLAに基づきそれと合致するサンプルSDSを提供することで会員各社のSDS作成をより円滑に行えるよう支援している。

注：現行のサンプルSDSは5.1版対応となっているが、ＪＡＨＩＳ標準の改定に合わせて最新版に対応するようアップデートしていく予定である。
ⓒ JAHIS 202４9

リスクアセスメント支援••

厚生労働省医政局、基金、アクセンチュアに協力して救急時の患者情報閲覧や電子カルテ情報共有サービスのリスクアセスメントに対する支援を実施
消防庁、アクセンチュアによる救急隊の患者情報閲覧のリスクアセスメントに対する支援を実施

リモートサービスセキュリティガイドラインのリスクアセスメントを踏襲し、同様のアプローチを行うことでISO/IEC27001 の情報
セキュリティマネジメントの考え方を適用
基金によるオンライン資格確認、電子処方箋等の各種サービスはリモートサービスとしてリスクアセスメントが可能なことを受けリスクアセスメント支援を実施
継続的な協力関係のもとで今年度も上記対応を実施ⓒ JAHIS 202４10

リスクアセスメントの実践
リモートサービスセキュリティガイドラインの付属書Aの内容を基にサイトごとの資産分類を実施（サイトAはリモートサービスセン
ターだが、この部分を基金のセンターに読み替え）ⓒ JAHIS 202４11

リスクアセスメントの実践
以下のリスク評価表に基づいてリスク評価を実施ⓒ JAHIS 202４12

リスクアセスメントの実践
リスクアセスメント結果をISO27002に準拠する形で展開ⓒ JAHIS 202４13

健康で豊かな国民生活を保健医療福祉情報システムが支えます

ご清聴ありがとうございましたⓒ JAHIS 202４